LABORATORIO FORENSE DE ANDROID

LABORATORIO FORENSE DE ANDROID

1. 4.1 Laboratorio Adquisicion de datos

   • 4.1.1 Introduccion
     • Adquisicion de una imagen forense de un dispositivo android
     • Adquisicion de una imagen de una tarjeta SD
     • Adquisicion logica de un dispositivo android
     • Adquisicion de la memoria de un dispositivo Android
     • Mostrar diferentes tecnicas
       • Extraccion de informacion en dispositivos moviles android
       • Analisis de informacion en dispositivos moviles Android
   • 4.1.2. IMAGEN FORENSE DE UN DISPOSITIVO ANDROID
     • 1-CONEXION DEL DISPOSITIVO
       • Disponer de un dispositivo rooteado
       • Adquisiscion de imagen mediante conexion USB
       • realizacion de imagen desde santoku
     • 2-PREPARACION DE LA ADQUISICION
     • 3-ADQUISICION DE LA IMAGEN
   • 4.1.3. IMAGEN DE UNA TARJETA SD
     • 1-INSTALACION DE BUSYBOX
       • redigir datos generados directamente a un puerto donde los reciba la maquina de analisis
       • Instalar a traves de Google Play
     • 2-OBTENCION DE LA IMAGEN
       • Averiguar a que dispositivo corresponde la tarjeta de memoria
       • transmitir iamgen de la tarjeta SD a la maquina de analisis a atraves de un socket
   • 4.1.4.ADQUISICION LOGICA DE UN DISPOSITIVO ANDROID
     • 1-INSTALACION DE AFLOGICAL
       • Herramienta AFLogical
         • Adquisicion logica de evidencias
         • aplicacion de Android
         • Extraer toda la informacion accesible mediante permisos en un Sistema Androdi
           • Historial de llamadas
           • Contactos
           • Mensajes
             • SMS y sus adjuntos
             • MMS y sus adjuntos
     • 2-EJECUCION DE AFLOGICAL
       • Escribir en la linea de comandos de Santoku
         • > aflogical -ose
           • instalacion de aplicacion
           • ejecutar la aplicacion
     • 3-RESULTADOS
       • Podemos inspeccionarlo utilizando el navegador de archivos de Santoku
   • 4.1.5. ADQUISICION DE MEMORIA EN ANDROID
     • 1-INSTALACION Y EJECUCION DE LIME
       • Contar con un dispositivo rooteado
       • Descargar y compilar LIME
         • https://github.com/504ensicsLabs/LiME/tree/master/doc
     • 2-TRANSMISIÓN DE LA IMAGEN
       • La imagen se crea en formato lime en la sdcard del sistema
       • La imagen obtenida puede ser analizada con Volatilitty

2. 4.2. LABORATORIO DE ANÁLISIS DE DATOS

   • 4.2.1 INTRODUCCION AL LABORATORIO
     • 1-ANALISIS DE UNA IMAGEN DE UN DISPOSITIVO ANDROID
       • El analisis se basa en una simulacion en la que se debe asumir el papel de perito forense
       • Objetivo final: redactar un informe forense
     • 2-PREPARACION DE AUTOPSY
       • Utilizaremos Santoku Linux
       • Herramientas
         • Autopsy
         • Sqliteman
         • Exiftool
   • 4.2.2. PRESENTACION DEL CASO
     • 1-ESCENARIO
     • 2-ESTADO DEL DISPOSITIVO
     • 3-ENUNCIADO
   • 4.2.3. CREACION DEL CASO
     • 1-CARGA DE AUTOPSY
     • 2-ABRIENDO UN NUEVO CASO
     • 3-AÑADIENDO DISPOSITIVOS
     • 4-DETALLES DEL DISPOSITIVO
     • 5-AÑADIENDO LA IAMGEN
     • 6-INTEGRIDAD DE LA IMAGEN
     • 7-ANALISIS INICIAL
   • 4.2.4. EXTRACCION DE INFORMACION
     • DETERMINANDO LOS ELEMENTOS INICIALES A EXAMINAR
     • LISTA DE ELEMENTOS A EXAMINAR
     • ESTRACCION DE ELEMENTOS DE INFORMACION
     • EXTRACCION DEL LISTADO DE APLICACIONES
     • EXTRACCION DE DATOS DE INTERES
     • HISTORIAL DE LLAMADAS Y CONTACTOS
     • MENSAJES DE TEXTO
     • REDES WIFI
     • LOCALIZACIONES EN LA APLICACION DE MAPAS
     • FOTOGRAFIAS
     • CORREOS ELECTRÓNICOS
     • DATOS DE NAVEGACION WEB
     • INFORMACION RELATIVA A LAS REDES SOCIALES
   • 4.2.5 ANÁLISIS
     • TAREAS DE ANALISIS
     • INFORMACION SOBRE LOS COMPLICES
     • INFORMACION SOBRE LOS COMPLICES Y OTROS TELÉFONOS
     • INFORMACION SOBRE LAS LOCALIZACIONES
     • INFORME SOBRE LAS CUENTAS EXISTENTES
       • algunos ejemplos
         • SPOTIFY
         • GMAIL
         • WHATSAPP
         • SNAPCHAT

3. 4.3. EL INFORME FORENSE

   • 4.3.1 INTRODUCCION
     • Realizar un informe con las evidencias encontradas y las conclusiones a las que se ha llegado tras la realizacion del analisis
   • 4.3.2 RESUMEN DEL CASO
     • En esta seccion se debe incluir
       • Una portada que incluya:
         • nombre y apellidos del perito
       • Los antecedentes concretos que se conozcan del caso.
         • Enunciado del mismo descrito con tus propias palabras
       • Estado de las evidencias que te fueron entregadas.
         • Hay que tener en cuenta que en este caso, no se tiene acceso al dispositivo real y que solo se est ́a analizando una de las particiones del dispositivo.
       • Lo que se pide es corroborar o comprobar, como perito forense.
   • 4.3.3. HERRAMIENTAS UTILIZADAS
     • Se deberan describir todas las herramientas utilizadas,
       • Por cada una de ellas hay que especificar:
         • La version de la herramienta utilizada (incluyendo la plataforma)
         • El fabricante
         • La tarea para la que ha sido utilizada
       • Si se ha utilizado alguna herramienta reciente o poco conocida, hay que incluir un test de validaci ́on de la misma.
   • 4.3.4. ADQUISICION DE EVIDENCIAS
     • Incluir proceso que se llevo acabo para añadir la iamgen a una herramienta
   • 4.3.5. PROCESADO DE EVIDENCIAS
     • Se debe describir como se han extraido las evidencias
       • para demostrar los razonamientos durante la fase de analisis
     • Se debe describir el proceso y si se ha realizado alguna operacion para la recuperacion de archivos
     • Por cada elemento de informacion extraido de la iamgen se debera obtener su MD5
       • Añadirlo en el informe forense
       • De esta manera podremos demostrar que las pruebas no se han modificado
       • Cada evidencia extraida debe poder trazarse de forma univoca a los datos originales
   • 4.3.6. ANALISIS Y CONCLUSIONES
     • En esta seccion debemos razonar basandonos en
       • La informacion extraida en la seccion anterior
         • los diferentes hechos que se demuestran con la informacion existente en la imagen analizada
         • Conjunto de razonamientos e hipotesis
           • dirigido por el personal que nos encargo el caso
         • Cada conclusion extraida del analisis debera estar justificada por alguna evidencia identificada
           • en el proceso de
             • extraccion
             • analisis
           • limitar nuestras afirmaciones a los que indican las evidencias